Microsoft hat bestätigt, dass Hacker eine Zero-Day-Schwachstelle in Outlook aktiv ausnutzen. Dem Bericht zufolge kann die Schwachstelle Windows-Authentifizierungsinformationen offenlegen, wenn ein Benutzer eine schädliche Datei öffnet. Diese Art von Outlook-Zero-Day-Authentifizierungs-Hash-Diebstahl sollte ernst genommen werden, denn die gestohlenen Daten können zu einem Sprungbrett für viel größere Probleme werden.

Die bisher veröffentlichten Details sind begrenzt, daher beschränkt sich dieser Artikel auf das Bestätigte und ergänzt allgemeine Hintergrundinformationen dazu, wie Zugangsdaten-Diebstahl funktioniert. Wo Einzelheiten fehlen, sagen wir das.

Wie der Outlook-Zero-Day Windows-Hashes stiehlt

Was bestätigt ist: Angreifer nutzen eine zuvor nicht gepatchte Schwachstelle in Outlook aus, und der Auslöser ist ein Benutzer, der eine schädliche Datei öffnet. Wenn das geschieht, können Windows-Authentifizierungsinformationen an den Angreifer offengelegt werden.

Ein „Zero-Day" bedeutet einfach, dass die Schwachstelle in Angriffen genutzt wurde, bevor ein Fix verfügbar war. „Ausgenutzt" bedeutet, dass dies kein theoretischer Forschungsbefund ist. Echte Angreifer nutzen sie jetzt.

Ein Authentifizierungs-Hash ist eine verschlüsselte Darstellung eines Passworts oder einer Zugangsdaten, die Windows verwendet, um nachzuweisen, wer Sie in einem Netzwerk sind. Im Allgemeinen können Angreifer, die einen Hash erbeuten, versuchen, ihn offline zu knacken, um das ursprüngliche Passwort wiederherzustellen, oder ihn in einigen Konfigurationen wiederverwenden, um sich zu authentifizieren, ohne das Passwort jemals zu kennen. Der Quellartikel sagt nicht, welchen dieser Wege Angreifer bei dieser spezifischen Schwachstelle einschlagen, und wir werden nicht raten.

Wer ist gefährdet und was Angreifer mit gestohlenen Hashes tun können

Basierend auf den bestätigten Details ist jeder potenziell gefährdet, der Outlook unter Windows verwendet und dazu verleitet werden könnte, eine schädliche Datei zu öffnen. Organisationen verdienen besondere Aufmerksamkeit, da die Zugangsdaten eines einzelnen Mitarbeiters Türen zu gemeinsam genutzten Systemen, Dateiservern und internen Anwendungen öffnen können.

Allgemein gesprochen können gestohlene Zugangsdaten zu Folgendem führen:

  • Kontowiderrechtliche Übernahme (Account Takeover), wenn ein Hash geknackt wird und das Passwort schwach oder wiederverwendet ist
  • Laterale Bewegung innerhalb eines Unternehmensnetzwerks, wobei ein kompromittiertes Konto genutzt wird, um andere zu erreichen
  • Datendiebstahl aus Postfächern, Dateifreigaben und Cloud-Diensten, die mit derselben Identität verbunden sind

Diese Ergebnisse sind allgemeine Risiken des Zugangsdaten-Diebstahls, keine bestätigten Ergebnisse dieser speziellen Kampagne. Dennoch erklären sie, warum eine Schwachstelle, die „nur" Authentifizierungsdaten preisgibt, wichtig ist. Gestohlener Zugang ist oft der erste Schritt vor Datendiebstahl und Erpressung. Für ein aktuelles Beispiel dafür, wie gestohlene Daten zu Druck auf ein Opfer werden, lesen Sie unsere Berichterstattung über die Berliner Lösegeldforderung nach einem Regierungs-Hack.

Was jetzt zu tun ist: Patchen, entschärfen und Exposition prüfen

Da dieser Angriff davon abhängt, dass ein Benutzer eine schädliche Datei öffnet, sind Ihre Verteidigungsmaßnahmen eine Mischung aus Software-Updates und sorgfältigen Gewohnheiten.

  1. Wenden Sie Microsofts Fix oder Gegenmaßnahmen an. Prüfen Sie Microsofts offizielle Sicherheitshinweise zu dieser Outlook-Schwachstelle und installieren Sie den Patch, sobald er für Ihre Version verfügbar ist. Wenn nur Gegenmaßnahmen veröffentlicht werden, wenden Sie diese heute an, statt zu warten.
  2. Aktualisieren Sie Windows und Office zusammen. Führen Sie Windows Update und Microsoft 365- oder Office-Updates aus, damit Sie keine zugehörigen Fixes verpassen.
  3. Deaktivieren Sie riskantes Vorschauverhalten. Wo Ihre Organisation es erlaubt, deaktivieren Sie die automatische Vorschau von Anhängen und vermeiden Sie das Öffnen von Dateien von Absendern, die Sie nicht kennen.
  4. Behandeln Sie unerwartete Anhänge als feindlich. Verifizieren Sie beim Absender über einen separaten Kanal, bevor Sie etwas Ungewöhnliches öffnen, selbst wenn die E-Mail intern aussieht.
  5. Aktivieren Sie Multi-Faktor-Authentifizierung (MFA). MFA beseitigt die Schwachstelle nicht, aber es macht gestohlene Zugangsdaten viel schwerer allein nutzbar.
  6. Ändern Sie Passwörter, wenn Sie eine Exposition vermuten. Wenn Sie eine verdächtige Datei geöffnet haben, ändern Sie Ihr Passwort und informieren Sie sofort Ihr IT- oder Sicherheitsteam, damit es Protokolle auf ungewöhnliche Anmeldungen prüfen kann.

IT-Administratoren sollten auch auf ungewöhnliche Authentifizierungsversuche und unerwartete ausgehende Verbindungen von Workstations achten, da diese Anzeichen für die Erfassung von Zugangsdaten sein können. Microsofts eigene Empfehlung wird die maßgebliche Liste der Indikatoren und Fixes enthalten.

Warum ein VPN diesen Angriff nicht stoppen wird

Da so viele Datenschutzratschläge sich auf VPNs konzentrieren, lohnt es sich, direkt zu sein: Ein VPN ist keine Verteidigung gegen dieses Problem. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und maskiert Ihre IP-Adresse. Es hindert Sie nicht daran, eine schädliche Datei zu öffnen, und es repariert keine Schwachstelle in Outlook.

Dieser Angriff wirkt auf Anwendungs- und Authentifizierungsebene, auf Ihrem eigenen Rechner. Die Fixes, die hier zählen, sind Patchen, vorsichtige E-Mail-Gewohnheiten und starker Kontoschutz wie MFA. Ein VPN kann für andere Datenschutzziele immer noch nützlich sein, etwa zum Schutz des Datenverkehrs in öffentlichen WLANs, aber es sollte nicht mit Schutz vor einer Schwachstelle wie dieser verwechselt werden.

Was das für Sie bedeutet

Wenn Sie Outlook unter Windows verwenden, gehen Sie davon aus, dass dies eine aktuelle Bedrohung ist und keine zukünftige. Das praktische Risiko läuft auf einen Moment hinaus: eine Datei zu öffnen, die Sie nicht hätten öffnen sollen. Seien Sie langsamer bei unerwarteten Anhängen, halten Sie Ihre Software aktuell und stellen Sie sicher, dass Ihre Konten mit MFA geschützt sind, damit eine durchgesickerte Zugangsdaten nicht ausreicht, um einzudringen.

Für Unternehmen ist dies eine Erinnerung daran, Zugangsdaten-Diebstahl als Einfallstor für größere Vorfälle zu behandeln. Schnelles Patchen und gutes Monitoring verkleinern das Zeitfenster, das Angreifer zur Verfügung haben.

Die wichtigsten Erkenntnisse

  • Microsoft hat die aktive Ausnutzung eines Outlook-Zero-Days bestätigt, der Windows-Authentifizierungsinformationen offenlegen kann, wenn eine schädliche Datei geöffnet wird.
  • Wenden Sie Microsofts Patch oder veröffentlichte Gegenmaßnahmen heute an und aktualisieren Sie Windows und Office.
  • Deaktivieren Sie riskante Vorschaufunktionen, wo möglich, und verifizieren Sie unerwartete Anhänge, bevor Sie sie öffnen.
  • Aktivieren Sie MFA für Ihre E-Mail- und Arbeitskonten und ändern Sie Passwörter, wenn Sie glauben, etwas Verdächtiges geöffnet zu haben.
  • Ein VPN schützt Sie nicht vor Outlook-Zero-Day-Authentifizierungs-Hash-Diebstahl. Patchen und Phishing-Hygiene schon.

Prüfen Sie jetzt Ihren Update-Status und teilen Sie dies mit Kollegen oder Familienmitgliedern, die sich täglich auf Outlook verlassen.